AI刚上岗，安全账单先到了

短短一周，四条消息摆在一起看，味道就出来了：八部门联合发布《科技数据安全管理暂行规定》，4月10日实施；腾讯的AI操作防护产品QClaw V2上线新功能；谷歌的Gemma 4开源模型发布90分钟被越狱；上海警方端掉一个用AI批量生成黑稿、操控4000个账号抹黑车企的团伙。

一边是监管和厂商在筑墙，一边是攻击者在拆墙。这不是巧合，是AI产业进入落地深水区后的必然节奏。核心判断一句话：AI安全正在从“附加项”变成AI产业的核心成本项，谁先消化这笔账，谁先拿到下一阶段的入场券。

📈 监管出手：科技数据第一次被“点名”管理

“合规的钟声，总是比攻击者的脚步声慢半拍，但从不缺席。

先看政策面。八部门联合发布《科技数据安全管理暂行规定》，4月10日起实施。这份文件的关键词有三个：分类分级、算法备案、跨境管控，同时明确强化科研机构与算力设施的安全管理。

熟悉国内数据合规演进的人会发现，这是一条清晰的延长线。《数据安全法》《个人信息保护法》解决的是通用问题，而科技数据——科研过程数据、实验数据、算力集群运行数据——长期处于“重要但没人专门管”的灰色地带。这次八部门联合出手，等于把这块灰色地带正式纳入了监管版图。

对产业意味着什么？三个直接后果：

• 科研院所和高算力平台要开始做数据分类分级盘点，这是过去互联网大厂做过的功课，现在轮到科研体系补课；
• 算法备案范围大概率延伸到科研场景的大模型应用，模型上线前的合规审计会变成标配动作；
• 跨境管控收紧后，国际合作项目中的数据流转需要重新设计路径。

时间线上看，监管动作在4月密集落地：

中央网信办在同一周召开全国网络法治工作会议，部署“十五五”依法治网重点任务，其中专门提到强化App/SDK个人信息治理。两个信号叠加，指向同一个方向：数据合规的执法颗粒度正在变细，从“管平台”下沉到“管每一类数据、每一个SDK”。

据多位接近监管层的人士观察，接下来的执法重点会优先落在拥有大量科研数据和算力资源的机构上。这不是坏消息——规则清晰，反而是行业的好消息。真正的成本在于存量改造。

🤖 智能体上岗：AI操作本身成了攻击面

“当AI开始替你点鼠标，攻击者就不再需要骗你了，骗AI就够了。

第二件事更贴近每个用户。腾讯QClaw V2上线“龙虾管家”，主打“全流程防护AI操作安全”，覆盖Prompt、技能与脚本执行三层，实时拦截恶意指令、技能投毒、文件误删等风险，默认开启。

注意这个产品设计透露的行业判断：AI智能体的操作链路，已经是一个独立的攻击面。 过去我们谈AI安全，谈的是模型本身的对抗样本、数据投毒；现在谈的是“AI替人执行任务”这条链路——prompt注入、第三方技能的供应链投毒、脚本执行的越权操作。每多一层自动化，就多一层可以被利用的信任传递。

mermaid 图可以把这个攻击链条画得很清楚：

与此同时，身份层的攻击也在指数级升温。据素材披露，设备码钓鱼攻击暴增36倍，相关攻击工具在网上大肆扩散。设备码钓鱼之所以危险，是因为它攻击的不是密码，而是OAuth授权流程本身——攻击者诱导用户在合法界面输入设备码，授权就“合规地”交了出去。这类攻击对多因素认证几乎免疫，因为根本没有密码环节可以保护。

这解释了为什么“龙虾管家”这类产品要把防护做成默认开启。安全厂商已经意识到：指望用户每次都保持警惕是不现实的，尤其当操作者是AI而不是人的时候。AI agent的每一次工具调用，都需要有独立的校验层兜底。

一位做企业安全的朋友私下说得很直白：“过去我们防的是员工乱点链接，现在要防的是员工养的AI乱执行任务。信任模型整个要重写。”

💡 模型的两副面孔：90分钟沦陷与一块芯片的防线

“开源模型的护甲，在发布那一刻就开始倒计时。

第三条战线在模型本身，而且是戏剧性的对比。

一边是坏消息：谷歌Gemma 4发布90分钟就遭破解，安全模块被完整摘除，安全合规率从正常水平骤降至6.3%。被越狱的模型可以指导伪造支票、获取盗版资源等违法活动。开源意味着权重公开，而权重公开意味着任何安全对齐都只是“暂时的共识”——攻击者拿到本地副本，可以离线地、无限次地尝试摘除防护。

另一边是对抗性尝试：海光信息全球首发“机密Token”技术，为云端大模型提供硬件级数据隔离，防范成员推理攻击和数据提取攻击，保护训练数据与交互隐私。

把这两件事放在同一张表里看，防御思路的分化一目了然：

三条路线其实回答的是三个不同的问题：模型“说不说”、数据“漏不漏”、操作“做不做”。Gemma 4的90分钟沦陷证明，第一道防线在开源世界里是最脆的；而海光的思路是把防线下沉到硬件，让“数据进了可信区出不来”成为物理事实。

产业逻辑上，这预示着AI安全的分层化：模型层安全会越来越“便宜但可绕过”，而硬件层和运行时防护会越来越值钱。 国产算力厂商把“机密计算”作为大模型时代的差异化卖点，是一次精准卡位——当算力性能逐渐追平，安全能力就是新的溢价来源。

顺带一提，上海人工智能实验室同期发布“珠穆朗玛计划”，推出DeepLink融合算力平台，强调为关键科学领域提供“自主受控”的智能底座。“受控”两个字，在当前的监管语境下分量不轻——自主可控的下一站，就是自主可信。

⚠️ 老黑产换新衣：像素、固件与AI水军

“攻击者从不发明新东西，他们只给旧伎俩换更新的皮。

最后回到传统威胁，但你会发现每一件都带着AI时代的印记。

像素级SVG藏毒。 安全研究人员发现一个影响近100个使用Magento电商平台在线商店的大型攻击活动：信用卡盗取代码被藏在一个像素大小的SVG矢量图像里。电商网站的图像资源成百上千，谁会去审查一个1x1像素的矢量图？这是典型的供应链投毒思路——攻击的不是系统漏洞，而是审查盲区。

Rootkit级木马NoVoice。 一种新型底层木马爆发，全球230万台设备中招，其中国内约90万台。它深度感染安卓与iOS系统，最棘手的特性是：格式化也无法清除，设备重置后仍会复活。窃取隐私并支持远程控制。对普通用户来说，这几乎宣告了“恢复出厂设置”这个最后的自救手段失效。

AI黑稿工厂。 上海警方侦破一起案件，2名嫌疑人用AI批量生成虚假黑稿，操控4000个账号抹黑某车企，涉案流量超千万，已被依法采取刑事强制措施。广电总局同期披露，常态化清理“AI魔改”视频，已清理违规视频2.3万条、处置账号100余个。

三条线索指向同一个结论：黑产的工业化速度，不亚于正规军。 AI降低了内容伪造的边际成本，降低了恶意代码的伪装门槛，也降低了大规模账号运营的人力需求。过去需要一个团队干的事，现在两个人加一批模型就够了。

对防御方而言，这意味着检测逻辑必须升级。SVG藏毒提醒我们：内容安全审查要从“看文件类型”深入到“解析文件语义”；Rootkit提醒我们：终端安全的终点要从应用层下沉到固件层；AI水军提醒我们：平台的风控要从“识别单条内容”升级为“识别账号集群的行为图谱”。

小结：安全账单，是AI时代的入场费

一周之内，监管立规、厂商筑墙、模型沦陷、黑产换衣——四条线同时收紧，勾勒出AI安全 2026 年的基本盘：安全不再是可以后置的成本，而是与模型能力同步迭代的核心竞争力。

对从业者，三个务实建议：企业要按新规尽快完成科技数据分类分级盘点；部署智能体的团队，把prompt注入和技能供应链纳入威胁建模；个人用户记住一条——恢复出厂设置已经不是万能键，终端安全从源头抓起。

下一阶段值得盯的是两件事：《科技数据安全管理暂行规定》落地后的首批执法案例，以及“机密Token”这类硬件级方案能否形成跨芯片生态的事实标准。AI的狂飙期结束了，清算期才刚开始——而第一张账单，就是安全。